今日速览

2026年11月5日 · 星期四

• AI 找漏洞进入「工业化」：IEEE 文章称 AI 正逼大家还 40 年技术债，1046 分登顶；OpenAI 一次花约 121 万美元 API 费，跑出 948 个 Linux 本地提权漏洞并附补丁。
• 开源权重继续加码：月之暗面放出 2.8 万亿参数的 Kimi K3.1 Pro；美国公司 Ricursive 的 Ripple-65B 号称「美国开源 agent 编程第一」，被嘲 SOTA 的定义越缩越窄。
• 「你用的真是那个模型吗」有了解法雏形：Anthropic 的 FlashProve 用密码学证明每次回复出自承诺的权重，但成本仍是正常推理的 70–95 倍。
• 大厂收编 agent 工具链：Conductor 加入 Meta，云服务两周内关停；OpenAI 收购做 Codex 文件树和 diff 的 Pierre。
• Agent 落地冷热不均：DoorDash 说外部 agent 至今只带来几百单；OpenAI Images 2.6 主打一句话生成 GIF；Ask HN 里大家晒的多是 20 美元档订阅。
• 其他：白宫网段发现住宅代理出口、LED 灯为何不招虫、旧金山把「游击自行车道」转正、Go 的 JSON v2 正式发布。

IEEE：AI 正逼我们还 40 年的技术债

PHP2Shell 漏洞险些波及所有 WordPress 和 Drupal 网站。它原本是个被晾了两年的小崩溃 bug，AI 帮研究员两周内把它变成了远程执行代码。

以前「只是会崩」的老 bug 没人修，现在 AI 能把它们变成真漏洞，欠的账必须一起还。

OpenAI 一次跑出 948 个 Linux 提权漏洞

OpenAI 的自动化流水线从扫描、复现、写利用到出补丁全包，花费约 121 万美元 API 费用，平均每个提权漏洞约 1279 美元。

找漏洞已经变成「按预算跑批」，防守方的成本单位从人月变成了 token。

Kimi K3.1 Pro 开源权重放出

月之暗面把 2.8 万亿参数、每次激活 1040 亿参数的多模态 agent 模型挂上 Hugging Face，支持 100 万 token 上下文。

顶级开源模型普通人跑不动，但它让「花 100 万美元买 GPU 就能自建前沿模型服务」成为现实。

OpenAI Images 2.6：一句话生成 GIF 动图

新版图像模型快 50%，API 里分出快速的 Flare 和高质量的 Sunburst，还能导出 SVG、在图上圈出要改的位置。

GIF 是社交媒体的母语，图像模型开始直接卖「会动的角色」。

Anthropic 用密码学证明「回复真出自这个模型」

FlashProve 让模型提供方先承诺一套权重，再为每次回复附上零知识证明；用户在 CPU 上就能验证，不用看到权重。

当你通过第三方调用模型时，「它有没有偷换或偷偷量化」第一次有了可验证的答案。

Conductor 加入 Meta，云服务两周后关停

这款让多个编程 agent 并行干活的 Mac 工具宣布被 Meta 收编：即日停止注册，11 月 13 日云端只读，11 月 20 日开始删数据。

agent 工具赛道的创业公司正在变成大厂的人才和点子来源，用户的工作流随时可能被一封公告终结。

OpenAI 收购 Pierre，加强 Codex 的代码审阅

Pierre 是 Bootstrap 原作者创办的公司，做 Code Storage 和 Trees、Diffs 等开源库；Codex 应用里的文件浏览和 diff 已经在用它们。

agent 写代码越来越多，瓶颈转到了「人怎么看懂和审阅改动」，这正是 OpenAI 要补的一块。

DoorDash：几乎没人用 AI agent 点外卖

CEO 徐迅在财报会上说，外部 AI agent 上线以来只带来「几百单」，而公司一个季度近 10 亿单。

agent 帮你做「简单、高频、要看图比价」的事，往往比自己点还慢。

白宫网段被发现住宅代理出口

一家安全公司在自家新上线的住宅代理观测平台上看到，有付费代理流量从总统行政办公室的网段（AS2650）流出。

白宫网络里可能有一台被植入代理 SDK 的设备，任何花几美元买代理的人都能借它上网。

Ripple-65B：号称「美国开源 agent 编程第一」

做芯片设计 AI 的 Ricursive 从零训练了一个 650 亿参数的稠密模型，在 TerminalBench 2.1 上得 80.52 分，全部研发成本 3200 万美元。

用十分之一的钱做到同档成绩是真本事，但「美国、开源、这个尺寸」的限定词太多了。

LED 灯下为什么不再有虫群

博主引用 2016 年布里斯托大学实验：LED 招来的昆虫明显少于白炽灯和节能灯，原因可能是它几乎不发紫外线。

换 LED 不只省电，也悄悄改变了夜间生态，比如壁虎不再守在灯下。

Go 的 JSON v2 正式发布

encoding/json/v2 和 jsontext 在 Go 1.27 中转正，修掉了老库多年无法改的默认行为。

标准库敢出 v2，说明「默认值错了」的代价已经大过兼容的代价。

破解 Xbox 360 虚拟机管理器第三篇

Bad Update 漏洞利用经社区改进，从约 20 分钟、30% 成功率变成几乎即时、接近 100% 成功。

安全研究的进步常来自社区接力，不只是原作者。

高通 150W 推理卡：128GB 内存、548GB/s 带宽

高通 Cloud AI 100 Ultra 的产品页又被翻出来：150 瓦、128GB 显存，主打数据中心推理。

内存大但带宽一般，定位是省电的推理卡，不是训练卡。

Kino AI 发布：让 agent 和同事一起剪视频

YC 公司 Kino 把素材存储、剪辑时间线和审阅链接合在一起，Codex、Claude Code 能和人在同一条时间线上协作。

agent 能剪视频了，缺的是一个人和 agent 共用的工作台。

十年逆向，让 DOS 版《银河飞将》支持联机合作

作者和兄弟从 2015 年开始翻内存，终于让两个人能在初代 Wing Commander 里各开一架飞机并肩作战，还能在浏览器里玩。

一个童年愿望，靠十一年断断续续的坚持做成了。

bf16 可能让你的微调权重根本没在更新

一篇短文指出：用 bf16 存权重直接微调时，太小的更新会被舍入成零，只有数值很小的权重在动。

低精度省显存，但可能悄悄把训练变成另一种算法。

旧金山把「游击自行车道」转为正式设施（2016）

2016 年两名骑车人被撞身亡后，匿名团体在路边私自装了隔离桩，市政府没有拆，反而把它变成正式设施。

市民先做最小可用版本，政府再追认，城市也能这样迭代。

SpaceX 推出 Starfall：在轨微重力制造舱

SpaceX 新产品页介绍 Starfall：用星舰发射，可载 1000 公斤载荷、1 千瓦电力、Starlink 持续联网，提供数周微重力环境。

SpaceX 想把「上太空做实验」变成按需购买的常规服务。

Gauge 开源：让 agent 帮你反复改文档

Gauge 的命令行工具让编程 agent 按你的文档执行任务，分析卡住的地方，再自动生成文档改进版本反复测。

文档的读者正在从人变成 agent，就该用 agent 来测文档。

LRB 长文：好奇心对我们有好处吗？

精神分析学家 Adam Phillips 从弗洛伊德的「超我」讲起，追问人为何会害怕自己的好奇心。

一篇慢读文章，适合想换换脑子的时候看。

Ask HN：你现在的 AI agent 配置是什么？

发帖人问大家付费订阅哪些 AI、用不用 API 和本地模型、用什么编程工具，评论区成了一份真实的用户调研。

多数人用 20 美元档就够，重度用户才叠加多份订阅。

Chrome 移除 XSLT 的日子快到了

作者说谷歌去年万圣节决定移除浏览器的 XSLT 支持，预计 11 月 17 日执行；Chrome 已在用 XSLT 的网页上插入警告横幅。

浏览器砍功能，最受伤的是那些多年没人维护但还在用的老网页。

无塑料咖啡机和胶囊成了新身份象征

CNN 报道了一批主打不含塑料的咖啡机和胶囊，背后是消费者对微塑料的担心。

「无塑料」正在变成高端消费品的溢价点。

DOOM 的「DNA」：44 个移植版里代码结构怎样延续

作者用自建工具分析 1997 年开源后衍生的 43 个 DOOM 版本，不看代码文字，只看函数结构，看能否认出谁抄了谁。

函数名会说谎，代码结构才是真正的指纹。